- Verschifft
- 10. August 2026 um 18:04 UTC
- Autor
- Kamo
- Ausschuss
- 987756a
GET /api/calendar/calendars nahm userId als Antragsparameter, also ändern eine Zahl in der URL, die die Kalender von jemandem lesen - und weil Kalender getragen werden Über jeden Mieter hinweg keine Organisation. Schlimmer noch, keine Mutation geprüft alles: POST gebunden eine ganze UserCalendar, so dass der Anrufer wählte seinen Besitzer, und PUT und DELETE auf beiden Kalender und Ereignissen von id mit Nein gelöst Eigentumsprüfung überhaupt. Jedes Mitglied könnte jemanden bearbeiten oder löschen. Organisation und Mitglied kommen nun beide aus der festgelegten Sitzung. MemberCalendarService hält den Member-scoped. CalendarService bleibt die Entitäts-Level-Fassade CalDAV und externe Sync-Aktie, weil diese ein Konto authentifizieren und nicht eine Mitgliedschaft - eine wirklich andere Umfang, kein Versehen. Der Organisationskalender ist von jedem Mitglied lesbar und nur beschreibbar mit CREATE_ORG_CALENDAR_EVENTS. Eine Ablehnung ist 403, nicht 404: das Mitglied kann den Kalender sehen, so zu tun, als ob es nicht existiert, wäre eine Lüge der Kunde kann nicht handeln. Ein Kunde kann auch nicht seinen eigenen Kalender durch Senden fördern istOrgCalendar - dass die Flagge auf erstellen ignoriert wird. Nutzlasten werden zu DTOs. Mitglied, Organisation und Benutzer der Entitäten Verbände sind faul, so Jackson machte sie als Null und ein Kunde könnte nicht sagen, wessen Kalender es hielt. Die Veranstaltung, die DTO trägt, ist privat und ist wiederkehrend, obwohl nichts hier auf sie variiert: das Modal bindet beide schaltet ein, und ein fehlender Wert dreht einen kontrollierten Eingang unkontrolliert. listEvents akzeptiert auch startDate/endDate. Der Browser hat immer diese gesendet gegen eine Unterschrift, die nur Start/Ende gebunden, so dass jede Anfrage ankam überhaupt kein Fenster.